Confidentialité des métadonnées EXIF : Une image équivaut à des données

Les photos que vous partagez sur internet constituent-elles une menace pour votre vie privée ?

Lorsque vous prenez une photo numérique avec votre appareil photo ou votre téléphone, il stocke plus que les pixels et les couleurs qui composent l’image. Chaque fichier image contient également des métadonnées, qui comprennent des détails allant de la date de création et des informations sur le droit d’auteur à l’endroit où la photo a été prise.

Il en va de même pour les images modifiées avec de nombreux programmes de retouche photo. Les programmes d’édition d’images ajoutent souvent des métadonnées aux images, notamment :

1. l’horodatage des modifications,
2. des informations sur le système
3. et la localisation des changements.

Un exemple de métadonnées EXIF stockées avec une photo : les coordonnées GPS où la photo a été prise.

Les métadonnées peuvent constituer une menace pour la vie privée des personnes qui partagent et publient des photos sur internet

Bien que certains réseaux sociaux et sites de stockage et de partage de photos effacent les métadonnées des photos téléchargées, beaucoup ne le font pas, ce qui pourrait permettre aux attaquants de recueillir des informations personnelles à partir des images publiées sur internet.

Par exemple, si une personne publie une photo de vacances avec des coordonnées GPS et un horodatage dans les métadonnées, un attaquant pourrait facilement trouver quand et où elle a voyagé.

Les métadonnées peuvent être classées en trois grandes catégories

Les métadonnées système sont générées lorsque l’image est stockée (c’est-à-dire lorsqu’une photo est prise ou que des modifications sont enregistrées). Elles comprennent des critères spécifiques étiquetés, tels que :

• la date et l’heure de création de l’image
• des détails sur l’appareil photo et/ou le logiciel d’édition utilisé

Les métadonnées ont 3 grands usages

1. La description du contenu du fichier, y compris les mots-clés, les noms des personnes photographiées et les coordonnées de l’emplacement.
2. Les informations sur le droit d’auteur comprennent l’attribution du créateur, les restrictions de licence, les crédits et les conditions d’utilisation.
3. Les données administratives peuvent inclure la date de création, la date de modification, l’emplacement et d’autres métadonnées système mentionnées ci-dessus.

Quels services de partage d’images nettoient les métadonnées et lesquels ne le font pas ?

Les chercheurs ont analysé les pratiques de nettoyage des métadonnées de 12 services populaires de stockage et de partage d’images sur internet. Ils ont téléchargé une image de la Joconde chargée de métadonnées sur chacun de ces services. Après le téléchargement, ils ont ensuite téléchargé l’image à partir de chaque service respectif pour voir si les métadonnées étaient restées intactes ou non.

Commençons par les endroits les plus populaires pour partager des images sur le web

• Imgur,
• Facebook
• et Instagram

…suppriment toutes les métadonnées des photos lors du téléchargement. Vous n’avez pas à vous soucier de la fuite de métadonnées lorsque vous téléchargez des images sur ces sites.

➨ Gardez toutefois à l’esprit que, même si les utilisateurs de ces sites n’ont pas accès aux métadonnées, les sites eux-mêmes y ont accès.

Flickr conserve toutes les métadonnées d’origine et en affiche même une grande partie sur la page web de chaque photo.

Photobox marque les photos dans la section des commentaires sur les métadonnées pour indiquer que les images téléchargées sont compressées. Le reste des métadonnées est intact. C’est le seul service qui a réellement ajouté ou modifié des données.

Les autres services de partage et de stockage d’images que nous avons examinés n’ont supprimé ou modifié aucune métadonnée, à l’exception des horodatages « date de modification » :

• 8upload.com
• Gifyu
• Imageupload.io
• Imgbb.com
• Imgpile.com
• Linkpicture.com
• Pasteboard.co
• Postimages.org
• Turbmoimagehost.com

Si vous ne voulez pas exposer les métadonnées EXIF sur ces sites, vous devrez nettoyer les images au préalable.

Vous trouverez plus d’informations à ce sujet en-dessous.

Comment les métadonnées EXIF permettent de vous localiser : exemples de recherche

La sensibilité des métadonnées des images en utilisant des images accessibles au public pour localiser les sujets et les créateurs des images.

Commençons par un exemple simple. En utilisant les métadonnées GPS de la photo ci-dessus, nous avons déterminé qu’elle a été prise près de Sørstranda, en Norvège.

Grâce aux métadonnées de l’image, à la recherche inversée d’images et à un peu de renseignement de source ouverte (OSINT), les chercheurs ont pu l’identifier comme étant un ancien participant à un jeu télévisé.

• Ils ont trouvé son pays,
• sa date de naissance,
• sa date de mariage,
• le nom de son conjoint,
• son profil Facebook,
• son compte Twitter,
• sa page LinkedIn,
• son compte Instagram,
• son expérience professionnelle,
• ses compétences,
• son éducation et ses intérêts.

Les chercheurs ont également pu identifier et trouver des infos sur les coéquipiers de jeu télévisé du sujet également.

Un autre sujet était une photo de tête de type passeport représentant un homme dans ce qui semble être un treillis militaire. Les chercheurs ont pu localiser l’image sur un site contenant des photos de la remise des diplômes de l’école du sujet.

À l’aide du nom de l’école et de la galerie des diplômes, les chercheurs ont retrouvé les noms de tous les élèves de sa classe. Une fois les possibilités réduites, ils ont trouvé un homme dont le nom était similaire à celui du fichier image.

Les chercheurs ont ensuite trouvé les profils Facebook et Instagram de cet homme. Grâce à ces images, ils ont en outre découvert qu’il s’agissait bien d’un soldat. Ils ont appris sa division et sa brigade, ainsi que des infos sur ses plus proches parents.

➨ Si vraiment vous souhaitez être anonyme lorsque vous publiez un commentaire ou un article sur internet, il vous faut un VPN.

Ce type de logiciel maquille votre adresse IP, cache votre identité et chiffre votre connexion.

Métadonnées utilisées comme preuves judiciaires

Les métadonnées provenant d’images et d’autres fichiers ont été utilisées comme preuves dans des tribunaux et des enquêtes policières, ce qui démontre la valeur des métadonnées du point de vue de la vie privée. Voici quelques exemples marquants :

• En 2016, deux étudiants de Harvard ont utilisé des coordonnées GPS stockées dans les métadonnées de photos publiées sur le dark web pour identifier des trafiquants de drogue 229 trafiquants de drogue. Les trafiquants de drogue du dark web publient souvent des images de leurs produits sur internet pour aider à prouver leur crédibilité, mais ils oublient souvent d’épurer les données EXIF au préalable.
• En 2017, un employé de Bio-Rad Laboratories a intenté un procès à son employeur, alléguant qu’il avait été jailli pour avoir parlé aux autorités d’une potentielle corruption en Chine. Une critique de performance avec un horodatage de métadonnées datant d’après son licenciement a servi de preuve dans l’affaire, ce qui a entraîné un paiement plus élevé pour avoir violé les lois contre le licenciement des lanceurs d’alerte. Il s’agit du plus gros paiement lié aux métadonnées à ce jour, avec 10,8 millions de dollars de dommages et intérêts.
• En 2015, un juge a rejeté une affaire dans laquelle une femme accusait son conjoint de violences physiques. La plaignante a fourni plusieurs photos comme preuve des abus, mais les métadonnées indiquaient la date à laquelle l’épouse avait affirmé que les abus avaient eu lieu trois mois après que les photos aient été prises.
  La société de criminalistique numérique Legility a publié une étude de cas (PDF) décrivant un procès sur lequel elle a enquêté. Dans cette affaire, une société de soins de santé avait acquis une autre entreprise.

Les employés de l’entreprise d’origine sont partis pour créer leur propre entreprise. La société désormais acquise a poursuivi la nouvelle société, alléguant qu’elle avait débauché des employés et volé des secrets commerciaux et des documents exclusifs, notamment des listes de clients.

En utilisant les métadonnées de ces documents comme preuve du moment où les documents ont été copiés et transférés, la société acquise a été récompensée de 7 millions de dollars (5,1 millions de livres sterling du PIB).

Comment supprimer les métadonnées des images

Les appareils photo et les applications photo varient beaucoup, mais beaucoup d’entre eux proposent une option permettant de désactiver ou de limiter la génération de métadonnées. Vérifiez les paramètres de votre appareil photo ou de votre application.

La plupart des appareils photo et des programmes de retouche d’images stockent les métadonnées des images au format EXIF. Il se peut que vous puissiez modifier les données EXIF des images sortantes par le biais de votre appareil photo ou de votre application de retouche photo.

➨ Certains programmes sont spécifiquement conçus pour travailler avec les métadonnées.

• ExifTool
• Image Scrubber

…sont deux excellentes options open-source.

Windows 10 est doté d’une option intégrée permettant de supprimer les métadonnées. Cependant, cette option ne supprime que les métadonnées que Windows 10 comprend, ce qui signifie qu’elle peut laisser certaines métadonnées derrière elle.

Néanmoins, cette option devrait au moins permettre de minimiser les informations stockées dans les images. Si vous êtes un utilisateur de PC, suivez simplement ces étapes :

1. Cliquez avec le bouton droit de la souris sur le fichier image et sélectionnez Propriétés pour ouvrir une nouvelle fenêtre.
2. Cliquez sur l’onglet Détails en haut de la fenêtre
3. Cliquez sur le lien « Supprimer les propriétés et les informations personnelles » en bas de la fenêtre. Une autre nouvelle fenêtre s’ouvre.
4. Dans la fenêtre Supprimer les propriétés, sélectionnez Supprimer les propriétés suivantes de ce fichier
5. Cliquez sur Sélectionner tout, puis sur OK